SSL und Sicherheits-Header: Interpretation einer Konfigurationsprüfung

Eine SSL- und Header-Prüfung kann Zertifikats- oder Antwortkonfigurationsprobleme aufdecken. Sie weist nicht nach, dass eine Anwendung frei von Schwachstellen ist, und ein fehlender Header allein beweist auch nicht das Vorhandensein eines exploitablen Angriffs.

Untersuchen Sie die tatsächliche Verbindung und Antwort

Prüfen Sie den angeforderten Hostnamen, die Zertifikatsgültigkeit, die Vertrauenskette und das finale HTTPS-Ziel. Untersuchen Sie dann die für repräsentative Seiten ausgelieferten Header, einschließlich authentifizierter und öffentlicher Routen, sofern autorisiert. Umleitungsantworten, gecachte Seiten und Anwendungsfehler können unterschiedliche Konfigurationen verwenden, weshalb eine erfolgreiche Startseiten-Antwort keine vollständige Überprüfung darstellt.

Wählen Sie Richtlinien für die Anwendung aus

Content Security Policy, HSTS und andere Header haben unterschiedliche Zwecke. Eine streng von einer anderen Website kopierte Richtlinie kann Skripte, Einbettungen oder Integrationen beschädigen. Verstehen Sie die benötigten Ressourcen, testen Sie eine geeignete Richtlinie und überwachen Sie Verstöße, bevor Sie weitreichende Beschränkungen durchsetzen. HSTS hat anhaltende Auswirkungen in Browsern und erfordert besondere Sorgfalt.

Praxisbeispiel: Ein Zahlungs-Widget funktioniert nach einer CSP-Änderung nicht mehr

Angenommen, eine neue Richtlinie verhindert das Laden eines erforderlichen Zahlungs-Frames. Reproduzieren Sie den Checkout-Fehler in einem autorisierten Test, untersuchen Sie den Richtlinienverstoß des Browsers und verifizieren Sie den beabsichtigten Anbieter-Ursprung. Passen Sie nur die notwendige Direktive an und testen Sie den vollständigen Ablauf erneut. Deaktivieren Sie nicht die gesamte Richtlinie und erlauben Sie nicht pauschal jeden Ursprung, nur damit ein Widget funktioniert. Dies ist ein hypothetisches Konfigurationsbeispiel.

Erstellen Sie eine Verifizierungs-Checkliste

• Bestätigen Sie den beabsichtigten HTTPS-Host und das Zertifikat.
• Überprüfen Sie die Navigation von HTTP zu HTTPS und repräsentative Fehlerantworten.
• Testen Sie Login, Formulare, eingebettete Ressourcen und wichtige Skripte.
• Dokumentieren Sie Richtlinienänderungen und ein geeignetes Rollback-Verfahren.
• Betrachten Sie automatisierte Befunde als Untersuchungswarteschlange, nicht als Zertifizierung.

Der SSL Checker von SearchBastion liefert eine erste Beobachtung der Konfiguration. Autorisierungskontrollen, die Eingabeverarbeitung, das Abhängigkeitsmanagement und Anwendungstests erfordern eine separate Überprüfung. Ein grüner Header-Score validiert diese Bereiche nicht und garantiert keine Sichtbarkeit in Suchmaschinen.

Konsultieren Sie die HTTP-Header-Referenz von MDN, bevor Sie Richtlinien auswählen und testen.